[論文レビュー] Dynamic Byzantine Reliable Broadcast

Rachid Guerraoui, Jovan Komatovic+4 more|arXiv (Cornell University)|Jan 17, 2020

Distributed systems and fault tolerance参考文献 21被引用数 5

ひとこと要約

本論文は、Byzantine攻撃環境下において、プロセスの参加・退出をサポートする非同期的で決定論的な動的Byzantine信頼性ブロードキャスト（dbrb）プリミティブを初めて提示する。これは、任意の正常プロセスがメッセージをブロードキャストした場合、すべての正常プロセス（退出したものを除く）が、非同期性および動的メンバーシップのもとでも最終的にそのメッセージを配信することを保証する。この保証は、2/3以上の多数が正常であるという仮定のもとで成り立つ。

ABSTRACT

Reliable broadcast is a communication primitive guaranteeing, intuitively, that all processes in a distributed system deliver the same set of messages. The reason why this primitive is appealing is twofold: (i) we can implement it deterministically in a completely asynchronous environment, unlike stronger primitives like consensus and total-order broadcast, and yet (ii) reliable broadcast is powerful enough to implement important applications like payment systems. The problem we tackle in this paper is that of dynamic reliable broadcast, i.e., enabling processes to join or leave the system. This property is desirable for long-lived applications (aiming to be highly available), yet has been precluded in previous asynchronous reliable broadcast protocols. We study this property in a general adversarial (i.e., Byzantine) environment. We introduce the first specification of a dynamic Byzantine reliable broadcast (DBRB) primitive that is amenable to an asynchronous implementation. We then present an algorithm implementing this specification in an asynchronous network. Our DBRB algorithm ensures that if any correct process in the system broadcasts a message, then every correct process delivers that message unless it leaves the system. Moreover, if a correct process delivers a message, then every correct process that has not expressed its will to leave the system delivers that message. We assume that more than $2/3$ of processes in the system are correct at all times, which is tight in our context. We also show that if only one process in the system can fail---and it can fail only by crashing---then it is impossible to implement a stronger primitive, ensuring that if any correct process in the system broadcasts or delivers a message, then every correct process in the system delivers that message---including those that leave.

研究の動機と目的

• 既存の非同期Byzantine信頼性ブロードキャストプロトコルにおいて、動的メンバーシップ（参加・退出）のサポートが不足している問題に対処する。
• 非同期システムで実装可能な動的Byzantine信頼性ブロードキャスト（dbrb）の仕様を設計する。
• プロセスの参加・退出が行われても、メッセージ配信がすべてまたはなし（all-or-nothing）であり、正常プロセス間で一貫性を持つ強力な整合性保証を確保する。
• 非同期システムにおける動的メンバーシップとクラッシュ障害を想定した場合、より強い性質（例：強妥当性や強全的）が達成できないことを証明する。
• 2/3の多数が正常であるという仮定のもとで、dbrbの安全性とライブネス特性を満たす決定論的で非同期なアルゴリズムを提供する。

提案手法

• グループメンバーシップやビュー同期に依存せずに、プロセスが動的に参加・退出できる新しいdbrb仕様を定義する。
• 初期に既知のセットから構築されるメンバーシップ変更の系列を用い、常に正常プロセスの過半数がシステム状態の進化に合意していることを保証する。
• 有効なビュー（vmr）とインストール済みビュー（vinstalled）の系列を維持し、正常プロセス間での一貫性を確保する。
• 多数の正常プロセスがメッセージ配信を責任持つクォーラムベースのメカニズムを活用し、送信者が故障しても配信が保証されるようにする。
• 「almostLeaveComplete」と「leaveComplete」のような内部イベントを導入し、退出の象徴的・原子的段階をモデル化することで、不可能性証明における不辺識別性の議論を可能にする。
• 非同期モデルにおける不辺識別性の議論を用い、クラッシュ障害と動的メンバーシップを想定した場合、より強いバージョン（例：強妥当性や強全的）が実現できないことを証明する。

実験結果

リサーチクエスチョン

• RQ1 決定論的で非同期なByzantine信頼性ブロードキャストプロトコルが、安全性とライブネスを保ちながら、動的メンバーシップ（プロセスの参加・退出）をサポートできるか。
• RQ2 このような動的dbrbプロトコルが非同期Byzantine環境で正しく動作するための最小限の仮定（例：多数が正常）は何か。
• RQ3 dbrbプリミティブを強化し、任意の正常プロセスがブロードキャストしたメッセージを、参加・退出したすべての正常プロセスが配信することを保証することは可能か。
• RQ4 クラッシュ障害を伴う非同期システムにおける動的Byzantine信頼性ブロードキャストの根本的限界は何か。
• RQ5 最小限の障害仮定のもとで、より強いdbrbの変種（例：強妥当性や強全的）に対して不可能性結果を確立できるか。

主な発見

• 本論文は、安全性とライブネスを保ちながら、プロセスの参加・退出をサポートする非同期的で決定論的な動的Byzantine信頼性ブロードキャスト（dbrb）アルゴリズムを初めて提示する。
• dbrbアルゴリズムは、任意の正常プロセスがメッセージをブロードキャストした場合、システムから退出していないすべての正常プロセスが最終的にそのメッセージを配信することを保証する。
• 任意の正常プロセスがメッセージを配信した場合、その配信の時点で退出の意思を表明していないすべての正常プロセスも、同じメッセージを配信する。
• プロトコルは、常に2/3を超えるプロセスが正常であると仮定しており、この境界はプロトコルの正しさにとってタイトである。
• 本論文は、クラッシュ障害モデルが最小限（たった1つのプロセスが故障可能）であっても、強動的Byzantine信頼性ブロードキャスト（sdbrb）のようなより強いバージョンが非同期システムで実装できないことを証明している。
• 不辺識別性の議論を用いて不可能性結果を確立した：ある実行では、故障した送信者のメッセージが、プロセスが退出するまで遅延される。その結果、そのプロセスはメッセージを配信できず、強妥当性や強全的を破る。